L'enregistrement NIS2 : les deux listes sur lesquelles vous pouvez figurer, ce que vous communiquez, pour quand et à qui (article 3(4) et article 27)

La question arrive sous deux formes : « devons-nous nous enregistrer au titre de NIS2 ? » et « nous avons manqué la date d'enregistrement, que faire ? ». Les deux ont la même première réponse : la directive (UE) 2022/2555 prévoit deux enregistrements, avec des entités différentes, des informations différentes, des échéances différentes et des destinataires différents, et la plupart des entreprises qui posent la question figurent sur une liste, quelques-unes sur les deux. Cet article est les deux listes telles que la directive les écrit, lues dans le texte, avec les dates et ce qu'il faut conserver.

La première liste : chaque entité essentielle ou importante (article 3(3) et (4))

Article 3(3) : « Au plus tard le 17 avril 2025, les États membres établissent une liste des entités essentielles et importantes ainsi que des entités fournissant des services d'enregistrement de noms de domaine », réexaminée et mise à jour régulièrement « et au moins tous les deux ans par la suite ». La liste est celle de l'État, pas celle de l'entité, mais c'est l'entité qui l'alimente. L'article 3(4) fait exiger par les États membres que ces entités communiquent aux autorités compétentes « au moins les informations suivantes » :

Les modifications sont notifiées « sans tarder » et, « en tout état de cause, dans un délai de deux semaines à compter de la date de la modification ». La Commission, avec l'ENISA, fournit des lignes directrices et des modèles, et les États membres peuvent mettre en place des mécanismes nationaux permettant aux entités de s'enregistrer elles-mêmes, ce qui est le portail d'auto-enregistrement qu'une entreprise rencontre en pratique. « Au moins » signifie qu'un État peut demander davantage par ces mécanismes.

L'article 3(5) dit à quoi sert la liste : au plus tard le 17 avril 2025, puis tous les deux ans, les autorités compétentes notifient à la Commission et au groupe de coopération le nombre d'entités essentielles et importantes par secteur et sous-secteur, et à la Commission des informations sur les entités identifiées au titre des règles indépendantes de la taille de l'article 2(2), points (b) à (e). La liste est la façon dont une autorité de surveillance sait qui elle surveille, et dont l'Union compte sa population réglementée.

La deuxième liste : le registre des entités numériques de l'ENISA (article 27)

L'article 27(1) fait « créer et tenir » par l'ENISA un registre de onze types d'entités : fournisseurs de services DNS, registres des noms de domaine de premier niveau, entités fournissant des services d'enregistrement de noms de domaine, fournisseurs de services d'informatique en nuage, fournisseurs de services de centres de données, fournisseurs de réseaux de diffusion de contenu, fournisseurs de services gérés, fournisseurs de services de sécurité gérés, ainsi que fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux. Ce sont les entités dont la compétence suit l'établissement principal plutôt que chaque État qu'elles servent (article 26(1)(b)), ce qui explique que l'Union en veuille un registre unique. Une entreprise SaaS est un fournisseur de services d'informatique en nuage et un MSP ou un MSSP figure sur la liste par définition, de sorte que la plupart des entreprises de logiciels et de services informatiques qui sont dans le champ figurent aussi sur cette deuxième liste.

L'article 27(2) fait exiger par les États membres que ces entités communiquent « au plus tard le 17 janvier 2025 » les informations suivantes :

Les modifications sont notifiées sans tarder et, en tout état de cause, dans un délai de trois mois à compter de la date de la modification (article 27(3)). Le point de contact unique transmet les informations à l'ENISA, à l'exception de celles du paragraphe 2, point (f) : les plages d'IP restent nationales (article 27(4)). Lorsqu'un État dispose d'un mécanisme national d'auto-enregistrement au titre de l'article 3(4), la communication de l'article 27 passe par lui (article 27(5)). Le registre n'est pas public : l'ENISA en donne l'accès aux autorités compétentes sur demande, « tout en veillant à ce que la confidentialité des informations soit protégée » (article 27(1)), de sorte qu'une entreprise ne peut pas s'y consulter elle-même et qu'un client ne peut pas y vérifier un fournisseur.

Quel État, et ce que l'enregistrement ne décide pas

Le destinataire est l'autorité compétente de l'État qui a la compétence. Pour la plupart des entités, c'est l'État d'établissement (article 26(1)) ; pour les onze types numériques, c'est l'État de l'établissement principal, « l'État membre où sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité », à défaut celui où les opérations de cybersécurité sont effectuées, à défaut l'établissement comptant le plus grand nombre d'employés dans l'Union (article 26(2)). Une entité non établie dans l'Union qui y offre ces services désigne un représentant dans l'un des États où elle le fait (article 26(3)) et s'y enregistre. La page de chaque État membre nomme l'acte que l'État a communiqué comme sa loi NIS2 et son CSIRT ; le registre de transposition est l'endroit où trouver le mécanisme national, car la directive ne le nomme pas.

S'enregistrer ne décide pas si vous êtes essentiel ou important ; la règle de taille et les règles indépendantes de la taille le font, et la liste de l'État en consigne le résultat. Ne pas s'enregistrer ne vous sort pas du champ d'application : l'article 3(4) est une obligation de l'entité, et l'article 36 fait fixer par les États membres des sanctions pour les violations des mesures nationales, « effectives, proportionnées et dissuasives », et c'est là qu'un enregistrement tardif ou absent est sanctionné. Les deux dates, le 17 janvier 2025 et le 17 avril 2025, sont passées ; une entité qui les a manquées a toujours l'obligation et s'en acquitte en communiquant maintenant, par le mécanisme national là où il en existe un, et en respectant dès lors les délais de deux semaines et de trois mois pour les modifications.

L'enregistrement à conserver

Ce qui survit à la question d'une autorité, c'est un enregistrement de l'enregistrement : les informations communiquées, au titre de quel article, à quelle autorité, à quelle date, avec l'accusé de réception ; et un journal des modifications, parce que les informations qui changent le plus, coordonnées, plages d'IP, États servis, sont celles auxquelles un délai de deux semaines ou de trois mois est attaché. Le type de l'annexe I ou II au point (b) de l'article 27(2) est la même ligne que celle d'où part la détermination du champ d'application, dans la langue du lecteur, et l'État qu'elle nomme est celui dont l'autorité reçoit la communication.

Sources

• Directive (UE) 2022/2555 (NIS2), article 2(2), article 3(3) à (5), article 26(1) à (3), article 27, article 36, considérant 117.

Ceci n'est pas un avis juridique. Le mécanisme d'enregistrement, le formulaire et la sanction d'une date manquée sont dans l'acte de transposition de chaque État membre, qui est le texte à lire après la directive.